JP2019506674A5

JP2019506674A5 -

Info

Publication number: JP2019506674A5
Application number: JP2018538236A
Authority: JP
Filing date: 2017-01-20
Publication date: 2020-02-27
Anticipated expiration: 2037-01-20

Description

本発明を例示的な実施形態を参照しながら具体的に図示・説明してきたが、当業者であれば、特許請求の範囲に包含される本発明の範囲を逸脱することなく形態や細部に様々な変更が施されてもよいことを理解するであろう。
なお、本発明は、実施の態様として以下の内容を含む。
〔態様１〕
コンピュータに実装される方法であって、
ウェブフェーシングアプリケーションのフレームワークで受信されたデータストリームを捕捉する過程と、
前記データストリームを処理する前記フレームワークによって起動される関数の第１の関数セットを捕捉する過程と、
捕捉された前記第１の関数セットのサブセットを、捕捉された前記データストリームのデータパケットと照合する過程と、
捕捉された前記第１の関数セットのうちの適合した前記サブセットと前記データパケットのデータとを、データセットに抽出する過程と、
セキュリティ攻撃を検知するために、抽出された前記データセットに基づいて前記ウェブフェーシングアプリケーションの活動を探査する過程と、
を備える、方法。
〔態様２〕
態様１に記載の方法において、さらに、
前記データストリームを処理する前記フレームワークによって起動される関数の第２の関数セットを捕捉する過程と、
データベースサーバへのデータベースクエリであって、前記フレームワークにより生成されるデータベースクエリを捕捉する過程と、
捕捉された少なくとも１つの前記データベースクエリを、捕捉された前記第２の関数セットのサブセットと照合する過程と、
捕捉されたデータベースクエリであって、適合した少なくとも１つの前記データベースクエリと、捕捉された前記第２の関数セットのうちの適合した前記サブセットとを、抽出された前記データセットに抽出する過程と、
を備える、方法。
〔態様３〕
態様２に記載の方法において、さらに、
適合した前記データパケット、捕捉された前記第１の関数セットのうちの適合した前記サブセット、捕捉された前記第２の関数セットのうちの適合した前記サブセット、および前記少なくとも１つのデータベースクエリの間の関係を相関させる過程であって、捕捉された前記第１の関数セットのうちの適合した前記サブセット、捕捉された前記第２の関数セットのうちの適合した前記サブセットおよび前記少なくとも１つのデータベースクエリを処理するのに用いられるスレッドを追跡することに基づく、相関させる過程と、
前記データセット内における、適合した前記データパケット、捕捉された前記第１の関数セットのうちの適合した前記サブセット、捕捉された前記第２の関数セットのうちの適合した前記サブセット、および前記少なくとも１つのデータベースクエリを、相関された前記関係に基づいてマッピングする過程と、
前記ウェブフェーシングアプリケーションの活動を、抽出された前記データセット内における、適合した前記データパケット、捕捉された前記第１の関数セットのうちの適合した前記サブセット、捕捉された前記第２の関数セットのうちの適合した前記サブセット、および前記少なくとも１つのデータベースクエリの前記マッピングに基づいて探査する過程と、
を備える、方法。
〔態様４〕
態様３に記載の方法において、捕捉された前記少なくとも１つのデータベースクエリを照合する前記過程が、前記第２の関数セットの捕捉された前記サブセットにおける少なくとも１つの捕捉された関数のパラメータのデータを、捕捉された前記少なくとも１つのデータベースクエリの表現式のデータとパターン照合することを含む、方法。
〔態様５〕
態様３に記載の方法において、前記活動を探査する前記過程が、さらに、
前記ウェブフェーシングアプリケーションのフレームワークで受信されたデータパケットを実行時に捕捉すること、
抽出された前記データセット内における、捕捉された前記第１の関数セットのうちの適合した前記サブセットおよび捕捉された前記第２の関数セットのうちの適合した前記サブセットそれぞれの起動される関数を前記データセット内に捕捉し、捕捉された前記データベースクエリそれぞれの起動されるデータベースクエリを前記データセット内に実行時に捕捉すること、
前記第１の関数セットの起動される関数ごとに、前記第２の関数セットのマッピングされた前記サブセットの起動と、マッピングされた前記少なくとも１つのデータベースクエリの起動とがないかを調べること、
前記第２の関数セットのマッピングされた前記サブセットとマッピングされた少なくとも１つのデータクエリとのうちの少なくとも一方が起動されない場合にセキュリティ攻撃と断定すること、
を含む、方法。
〔態様６〕
態様２に記載の方法において、(i)前記第１の関数セットの前記サブセットが、前記フレームワークのビジネスロジック層へのインターフェースで前記フレームワークによって起動され、(ii)前記第２の関数セットの前記サブセットが、前記フレームワークの前記ビジネスロジック層からのインターフェースで前記フレームワークによって起動される、方法。
〔態様７〕
態様１に記載の方法において、捕捉された前記第１の関数セットの前記サブセットを照合する前記過程が、捕捉された前記第１の関数セットの前記サブセットにおける少なくとも１つの捕捉された関数のパラメータにおけるデータを、前記データパケットのフィールドのデータとパターン照合することを含む、方法。
〔態様８〕
態様１に記載の方法において、データストリームを捕捉する前記過程が、さらに、前記データストリームを前記フレームワークのプロトコル構成に基づいて復号することを含む、方法。
〔態様９〕
態様１に記載の方法において、さらに、
前記データストリームの処理から、ユーザ、ユーザデータ、セッション情報、ＩＰアドレス、ポート番号、プロトコルコンテキスト、スレッドＩＤ、スレッドコンテキスト、メモリへの読み書きの命令のアドレス、オペレートされるメモリの範囲、およびトラフィック方向のうちの少なくとも１つを、前記ウェブフェーシングアプリケーションの活動を探査するために、抽出された前記データセットに抽出する過程、
を備える、方法。
〔態様１０〕
態様１に記載の方法において、前記フレームワークが、バイナリ言語、．ＮＥＴ言語、ＪＡＶＡ（登録商標）言語、ＰＨＰ言語、Ｒｕｂｙ言語およびＰｙｔｈｏｎ言語のうちの少なくとも１つに従って構成されている、方法。
〔態様１１〕
態様１に記載の方法において、さらに、
前記フレームワークにおける前記データストリームの処理の間に各メモリアクセスのコンテンツを捕捉する過程と、
捕捉された前記第１の関数セットおよび捕捉された第２の関数セットの命令であって、ユーザデータを処理するのに用いられる命令を特定するように、抽出された前記データセットを捕捉された各メモリアクセスと比較する過程と、
特定された前記命令のチェーンを作成する過程であって、作成された前記チェーンは、前記ウェブフェーシングアプリケーションにおける脆弱性を表すように前記データセットに抽出される、過程と、
前記作成されたチェーンを監視することにより、実行時に前記ウェブフェーシングアプリケーションの前記活動を探査する過程であって、捕捉された各関数の出力にユーザコンテンツを付加すること、および捕捉された各関数の入力からコンテキストを除去することを含む、探索する過程と、
を備える、方法。
〔態様１２〕
ウェブフェーシングアプリケーションのフレームワークで受信されたデータストリームを捕捉するように構成された第１のトラフィックアナライザと、
前記データストリームを処理する前記フレームワークによって起動される第１の関数セットを捕捉するように構成された第１のプロファイラと、
捕捉された前記第１の関数セットのサブセットを、捕捉された前記データストリームのデータパケットと照合し、かつ、捕捉された前記第１の関数セットのうちの適合したサブセットをデータセットに抽出するように構成されたパターン照合エンジンと、
セキュリティ攻撃を検知するために、抽出された前記データセットに基づいて前記ウェブフェーシングアプリケーションの活動を監視するように構成されたプローブと、
を備える、コンピュータシステム。
〔態様１３〕
態様１２に記載のシステムにおいて、さらに、
前記データストリームを処理する前記フレームワークによって起動される第２の関数セットを捕捉するように構成された第２のプロファイラと、
データベースサーバへのデータベースクエリであって、前記フレームワークにより生成されるデータベースクエリを捕捉するように構成された第２のトラフィックアナライザと、
を備え、
前記パターン照合エンジンが、さらに、
捕捉された少なくとも１つの前記データベースクエリを、捕捉された前記第２の関数セットのサブセットと照合し、かつ、
捕捉されたデータベースクエイルであって、適合した少なくとも１つの前記データベースクエリと、捕捉された前記第２の関数セットの前記サブセットとを、抽出された前記データセットに抽出するように構成されている、システム。
〔態様１４〕
態様１３に記載のシステムにおいて、
前記パターンマッチングエンジンが、さらに、
適合した前記データパケット、捕捉された前記第１の関数セットのうちの適合した前記サブセット、捕捉された前記第２の関数セットのうちの適合した前記サブセット、および適合した前記少なくとも１つのデータベースクエリの間の関係を相関し、かつ、
抽出された前記データセット内における、適合した前記データパケット、捕捉された前記第１の関数セットのうちの適合した前記サブセット、捕捉された前記第２の関数セットのうちの適合した前記サブセット、および適合した前記少なくとも１つのデータベースクエリを、相関された前記関係に基づいてマッピングするように構成されており、
前記相関は、捕捉された前記第１の関数セットのうちの適合した前記サブセット、捕捉された前記第２の関数セットのうちの適合した前記サブセット、および適合した前記少なくとも１つのデータベースクエリを処理するのに用いられるスレッドを追跡することに基づき、
前記プローブが、さらに、前記ウェブフェーシングアプリケーションの活動を、抽出された前記データセット内における、適合した前記データパケット、捕捉された前記第１の関数セットのうちの適合した前記サブセット、捕捉された前記第２の関数セットのうちの適合した前記サブセット、および適合した前記少なくとも１つのデータベースクエリのマッピングに基づいて監視するように構成されている、システム。
〔態様１５〕
態様１４に記載のシステムにおいて、さらに、
ウェブフェーシングアプリケーションのフレームワークで受信されたデータパケットを実行時に捕捉するように構成された第３のトラフィックアナライザと、
捕捉された前記第１の関数セットのうちの適合した前記サブセットの起動される各関数を実行時に捕捉するように構成されたる第３のプロファイラと、
抽出された前記データセット内における、捕捉された前記第２の関数セットのうちの適合した前記サブセットの起動される各関数を前記データセット内に実行時に捕捉するように構成された第４のプロファイラと、
捕捉された前記データベースクエリのうち起動される各データベースクエリを前記データセット内に実行時に捕捉するように構成された第４のトラフィックアナライザと、
を備え、
前記プローブが、さらに、
前記第１の関数セットの起動される関数ごとに、前記第２のセットの関数のマッピングされた前記サブセットの起動と、マッピングされた前記少なくとも１つのデータベースクエリの起動とがないかを調べ、かつ、
前記第２の関数セットの前記マッピングされたサブセットとマッピングされた少なくとも１つのデータクエリとのうちの少なくとも一方が起動されなかった場合にセキュリティ攻撃と断定するように構成されている、システム。
〔態様１６〕
態様１４に記載のシステムにおいて、捕捉された前記少なくとも１つのデータベースクエリを照合することが、捕捉された前記第２の関数セットのパラメータにおけるデータを、捕捉された前記少なくとも１つのデータベースクエリの表現式のデータとパターン照合することを含む、システム。
〔態様１７〕
態様１２に記載のシステムにおいて、前記第１の関数セットを照合することが、前記第１の関数セットのパラメータにおけるデータを、前記データパケットのフィールドのデータとパターン照合することを含む、システム。
〔態様１８〕
態様１２に記載のシステムにおいて、(i)前記第１の関数セットの前記サブセットが、前記フレームワークのビジネスロジック層へのインターフェースで前記フレームワークによって起動され、(ii)前記第２の関数セットの前記サブセットが、前記フレームワークの前記ビジネスロジック層からのインターフェースで前記フレームワークによって起動される、システム。
〔態様１９〕
態様１２に記載のシステムにおいて、前記第１のトラフィックアナライザが、さらに、前記データストリームを前記フレームワークのプロトコル構成に基づいて復号するように構成されている、システム。
〔態様２０〕
態様１２に記載のシステムにおいて、前記パターンマッチングエンジンが、さらに、前記データストリームの処理から、ユーザ、ユーザデータ、セッション情報、ＩＰアドレス、ポート番号、プロトコルコンテキスト、スレッドＩＤ、スレッドコンテキスト、メモリへの読み書きの命令のアドレス、オペレートされるメモリの範囲、およびトラフィック方向のうちの少なくとも１つを、前記ウェブフェーシングアプリケーションの活動を探査するために、抽出された前記データセットに抽出するように構成されている、システム。
〔態様２１〕
態様１２に記載のシステムにおいて、前記フレームワークが、バイナリ言語、．ＮＥＴ言語、ＪＡＶＡ（登録商標）言語、ＰＨＰ言語、Ｒｕｂｙ言語およびＰｙｔｈｏｎ言語のうちの少なくとも１つに従って構成されている、システム。
〔態様２２〕
態様１２に記載のシステムにおいて、前記第１のプロファイラおよび第２のプロファイラが、さらに、前記フレームワークにおける前記データストリームの処理の間に各メモリアクセスのコンテンツを捕捉するように構成され、
前記パターンマッチングエンジンが、さらに、
捕捉された前記関数の命令であって、ユーザデータを処理するのに用いられる命令を特定するように、抽出された前記データセットを捕捉された各メモリアクセスと比較し、かつ、
特定された前記命令のチェーンを作成するように構成されており、
作成された前記チェーンは、前記ウェブフェーシングアプリケーションにおける脆弱性を表すように前記データセットに抽出され、
前記プローブが、さらに、前記作成されたチェーンを実行時に監視することにより、前記ウェブフェーシングアプリケーションの前記活動を監視するように構成され、当該監視が、捕捉された各関数の出力にユーザコンテンツを付加すること、捕捉された各関数の入力からコンテキストを除去すること、およびこれら付加および除去を解析エンジンに報告することを含む、システム。 Although the present invention has been specifically illustrated and described with reference to exemplary embodiments, those skilled in the art will appreciate that various forms and details are possible without departing from the scope of the invention as set forth in the appended claims. It will be appreciated that various changes may be made.
The present invention includes the following contents as embodiments.
[Aspect 1]
A method implemented on a computer,
Capturing the data stream received by the web facing application framework;
Capturing a first function set of functions invoked by the framework for processing the data stream;
Matching the captured subset of the first set of functions with data packets of the captured data stream;
Extracting the matched subset of the captured first function set and the data of the data packet into a data set;
Exploring the activity of the web facing application based on the extracted data set to detect a security attack;
A method comprising:
[Aspect 2]
The method according to aspect 1, further comprising:
Capturing a second function set of functions invoked by the framework for processing the data stream;
Capturing a database query to a database server, wherein the database query is generated by the framework;
Matching the captured at least one database query with a captured subset of the second set of functions;
Extracting a captured database query, the at least one matched database query and the matched subset of the captured second set of functions into the extracted data set;
A method comprising:
[Aspect 3]
The method according to aspect 2, further comprising:
Between the matched data packet, the matched subset of the captured first function set, the matched subset of the captured second function set, and the at least one database query Correlating a relationship, wherein the matched subset of the captured first function set, the matched subset of the captured second function set, and the at least one database query are Correlating, based on tracking the threads used to process,
Within the data set, the matched data packet, the matched subset of the captured first function set, the matched subset of the captured second function set, and the at least one Mapping two database queries based on the correlated relationships;
The activity of the web-facing application is determined by comparing the matched data packet, the matched subset of the captured first function set, and the captured second function set in the extracted data set. Exploring based on the matched subset of the and the mapping of the at least one database query;
A method comprising:
[Aspect 4]
4. The method according to aspect 3, wherein the step of matching the captured at least one database query comprises: data of at least one captured function parameter data in the captured subset of the second function set. A method comprising pattern-matching captured at least one database query expression data.
[Aspect 5]
The method according to aspect 3, wherein the step of exploring the activity further comprises:
Capturing at runtime the data packets received in the web facing application framework;
In the extracted data set, the activated function of each of the matched subset of the captured first function set and the matched subset of the captured second function set is Capturing in a dataset a triggered database query of each of the captured database queries at runtime in the dataset;
Examining, for each invoked function of the first function set, an activation of the mapped subset of the second function set and an activation of the mapped at least one database query;
Asserting a security attack if at least one of the mapped subset of the second function set and the mapped at least one data query is not activated;
Including, methods.
[Aspect 6]
3. The method according to aspect 2, wherein (i) the subset of the first set of functions is invoked by the framework at an interface to a business logic layer of the framework; and (ii) the subset of the second set of functions. The method wherein the subset is invoked by the framework at an interface from the business logic layer of the framework.
[Aspect 7]
2. The method according to aspect 1, wherein the step of matching the subset of the captured first function set comprises: at least one captured function parameter in the subset of the captured first function set. A method comprising pattern matching data with data in fields of said data packet.
[Aspect 8]
The method of claim 1, wherein the step of capturing a data stream further comprises decoding the data stream based on a protocol configuration of the framework.
[Aspect 9]
The method according to aspect 1, further comprising:
From the processing of the data stream, the user, user data, session information, IP address, port number, protocol context, thread ID, thread context, address of instruction to read / write to memory, range of operated memory, and traffic direction Extracting at least one of them to the extracted data set to explore the activity of the web facing application;
A method comprising:
[Aspect 10]
2. The method according to aspect 1, wherein the framework comprises a binary language,. A method configured according to at least one of a NET language, a JAVA language, a PHP language, a Ruby language, and a Python language.
[Aspect 11]
The method according to aspect 1, further comprising:
Capturing the content of each memory access during processing of the data stream in the framework;
The instructions of the first set of captured functions and the second set of captured functions, wherein the extracted data sets were captured to identify instructions used to process user data. Comparing with each memory access,
Creating a chain of the identified instructions, wherein the created chain is extracted into the dataset to represent a vulnerability in the web facing application.
Probing the activity of the web facing application at run time by monitoring the created chain, adding user content to the output of each captured function, and Exploring, including removing context from the input;
A method comprising:
[Aspect 12]
A first traffic analyzer configured to capture a data stream received by a web facing application framework;
A first profiler configured to capture a first set of functions invoked by the framework for processing the data stream;
Matching a subset of the captured first function set with data packets of the captured data stream and extracting a matched subset of the captured first function set into a data set. And a pattern matching engine configured in
A probe configured to monitor the activity of the web facing application based on the extracted data set to detect a security attack;
A computer system comprising:
[Aspect 13]
The system according to aspect 12, further comprising:
A second profiler configured to capture a second set of functions invoked by the framework for processing the data stream;
A second traffic analyzer configured to capture a database query to a database server, wherein the database query is generated by the framework;
With
The pattern matching engine further comprises:
Matching at least one of the captured database queries against a subset of the captured second set of functions;
A captured database query configured to extract at least one of the matched database queries and the captured subset of the second set of functions into the extracted data set. ,system.
[Aspect 14]
The system according to aspect 13, wherein
The pattern matching engine further comprises:
The matched data packet, the matched subset of the captured first function set, the matched subset of the captured second function set, and the matched at least one database query. Correlate the relationship between, and
A matched data packet, a matched subset of the captured first function set, a matched subset of the captured second function set, in the extracted data set; Configured to map the matched at least one database query based on the correlated relationship;
The correlation processes the matched subset of the captured first function set, the matched subset of the captured second function set, and the matched at least one database query. Based on tracking the threads used for
The probe may further determine the activity of the web-facing application in the extracted data set, the matched data packet, the matched subset of the captured first function set, the captured A system configured to monitor based on a mapping of the matched subset of the second set of functions and the matched at least one database query.
[Aspect 15]
The system according to aspect 14, further comprising:
A third traffic analyzer configured to capture at run-time data packets received by the web facing application framework;
A third profiler configured to capture each invoked function of the adapted subset of the captured first function set at runtime;
A fourth profiler configured to capture, at runtime, each activated function of the matched subset of the captured second set of functions in the extracted data set; When,
A fourth traffic analyzer configured to capture at runtime each database query activated of the captured database queries in the dataset;
With
The probe further comprises:
Examining, for each invoked function of the first set of functions, the activation of the mapped subset of the functions of the second set and the activation of the at least one mapped database query; and ,
A system configured to determine a security attack if at least one of the mapped subset of the second function set and the at least one mapped data query has not been activated.
[Aspect 16]
15. The system according to aspect 14, wherein matching the captured at least one database query comprises retrieving data in parameters of the captured second function set by an expression of the captured at least one database query. A system that includes pattern matching with the data in the system.
[Aspect 17]
13. The system of aspect 12, wherein matching the first function set comprises pattern matching data in parameters of the first function set with data in fields of the data packet.
[Aspect 18]
13. The system according to aspect 12, wherein (i) the subset of the first set of functions is invoked by the framework at an interface to a business logic layer of the framework, and (ii) the subset of the second set of functions. The system wherein the subset is invoked by the framework at an interface from the business logic layer of the framework.
[Aspect 19]
13. The system according to aspect 12, wherein the first traffic analyzer is further configured to decode the data stream based on a protocol configuration of the framework.
[Aspect 20]
13. The system according to aspect 12, wherein the pattern matching engine further reads and writes from the processing of the data stream to a user, user data, session information, an IP address, a port number, a protocol context, a thread ID, a thread context, and a memory. At least one of an address of an instruction, a range of memory to be operated on, and a traffic direction of the web facing application is configured to be extracted into the extracted data set for probing the activity of the web facing application. ,system.
[Aspect 21]
13. The system according to aspect 12, wherein the framework comprises a binary language,. A system configured according to at least one of a NET language, a JAVA language, a PHP language, a Ruby language, and a Python language.
[Aspect 22]
The system according to aspect 12, wherein the first profiler and the second profiler are further configured to capture the content of each memory access during processing of the data stream in the framework;
The pattern matching engine further comprises:
Comparing the extracted data set with each captured memory access to identify instructions of the captured function that are used to process user data; and
Configured to create a chain of the identified instructions;
The created chain is extracted into the dataset to represent a vulnerability in the web facing application,
The probe is further configured to monitor the activity of the web facing application by monitoring the created chain at runtime, the monitoring adding user content to an output of each captured function. Systems, removing context from the input of each captured function, and reporting these additions and removals to an analysis engine.

Claims

The system of claim 12, further comprising:
A second profiler configured to capture a second set of functions invoked by the framework for processing the data stream;
A second traffic analyzer configured to capture a database query to a database server, wherein the database query is generated by the framework;
With
The pattern matching engine further comprises:
Matching at least one of the captured database queries against a subset of the captured second set of functions;
A captured database query, at least one of said database query matched, and is configured so that said subset of captured the second set of functions, extracts the extracted the data set ,system.